[포렌식] | [BTLO] Browser Forensics - Cryptominer

[문제]

SOC에서 네트워크에 새로 합류한 PC에서 암호화폐 채굴과 관련된 트래픽이 발생했다는 알림을 받았습니다.

이에 대응하여, Incident Response 팀이 즉시 조치를 취했으며, 해당 트래픽이 브라우저 애플리케이션에서 발생하고 있음을 확인했습니다.

팀은 FTK Imager를 사용해 모든 주요 브라우저 데이터를 수집했고, 이제 당신이 ad1 파일을 이용해 암호화폐 채굴 활동을 조사해야 합니다.

https://blueteamlabs.online/home/challenge/browser-forensics-cryptominer-aa00f593cb

BTLO

 

---

[문제 풀이]

Q1. How many browser-profiles are present in Google Chrome?

• 먼저 FTK Imager 툴을 이용해서 파일을 열어 분석했습니다.
• 프로필 폴더 개수를 확인하기 위해 Default 폴더 외에 Profile 1, Profile 2와 같은 이름의 폴더들이 몇 개인지 확인했습니다.
• profile 1 같은 이름의 폴더들은 각 폴더가 하나의 프로필을 나타냅니다.
• 이 파일에서는 Default와 Profile 1 2개의 폴더가 있는 것을 알 수 있었습니다.

답: 2

---

Q2. What is the name of the browser theme installe on Google Chrome?

• 먼저 FTK Imager에서 Preferences 파일을 열었습니다.
• "theme" 또는 "extension" 키워드를 검색했더니 설치된 테마의 ID 또는 이름 정보가 포함된 JSON 데이터가 표시됐습니다.
• 테마 ID를 Google에서 검색했더니 해당 테마 이름을 찾을 수 있었습니다.

답: Earth in Space

---

Q3. Identify the Extension ID and Extension Name of the cryptominer

• extensions 항목 아래에서, 설치된 확장 프로그램들의 ID가 나열이 되어있습니다. 각각의 manifest.json 파일을 열어 확장 프로그램의 name을 분석했더니 cryptominer의 name을 알아낼 수 있었습니다.

답: egnfmleidkolminhjlkaomjefheafbbb, DFP Cryptocurrency Miner

---

Q4. What is the description text of this extension?

 

• 3번 문제의 같은 파일에서 확장 프로그램의 description도 발견할 수 있었습니다.

답: Allows staff members to mine cryptocurrency in the background of their web browser

---

Q5. What is the name of the specific javascript web miner used in the browser extension?

• 확장 프로그램의 javaScript 파일을 확인하기 위해서는 background.js, content.js, main.js 파일을 분석하기로 했습니다.
• background.js 파일에서 name of the specific javascript web miner을 발견할 수 있었습니다.

답: cryptoloot

---

Q6. How many hashes is the crypto miner calculating per second?

• background.js에서 hashesPerSecond 함수를 통해 몇 초마다 계산되는지 알 수 있었습니다.

답: 20

---

Q7. What is the public key associated with this mining activity?

• 암호화 채굴 활동은 보통 특정 채굴 서비스와 연결됩니다.
• JavaScript 파일에서는 var miner = new CryptoLoot.Anonymous('YOUR_PUBLIC_KEY_HERE'); 같은 패턴으로 발견될 수 있습니다.
• 여기서 'YOUR_PUBLIC_KEY_HERE'가 채굴 활동과 연관된 공개키 입니다. 그래서 해당 문제의 공개키는 b23efb4650150d5bc5b2de6f05267272cada06d985a0 입니다.

답: b23efb4650150d5bc5b2de6f05267272cada06d985a0

---

Q8. What is the URL of the official Twitter page of the javascript web miner?

 

• 이 문제는 Crypto-Loot의 공식 트위터 페이지 URL을 찾는 문제로 해당 이름으로 공식 트위터를 검색했습니다.

답: twitter.com/CryptoLootMiner